Vlan σε TP-Link SG108E

[BigHomie]

Καλησπέρα και πάλι!

Μετά απο δοκίμες σε όλα αυτά που μου αναφέρατε η λύση βρέθηκε.

Να αναφέρω πάλι πως αυτό που θέλω να κάνω είναι το εξής. 1 Gateway , 1 subnet , 3 ή και περισσότερα vlans τα οποία μεταξύ τους δεν θα έχουν καμία επικοινωνία παρά μόνο με την gateway για να έχουν internet.

Το λάθος που έκανα πριν είναι ότι όταν έφτιαχνα τα vlan στο switch έιναι ότι έβαζα στο ίδιο vlan περισσότερα από δύο ports ανά vlan.

πχ. VLAN ID 1| Name : Default        | Ports 1-8   | Untagged : 1-8 | Tagged : 0 | PVID 1

      VLAN ID 2| Name : Home          | Ports 1-6    | Untagged : 1-6 | Tagged : 0 PVID 2

      VLAN ID 3| Name:  2nd House  | Ports 1,7    | Untagged : 1,7 | Tagged : 0 PVID 7

      VLAN ID 4| Name : 3rd House   | Ports 1,8   |  Untagged : 1,8 | Tagged : 0 PVID 8

Το λάθος βρίσκεται στο VLAN ID 2 επειδή έχει περισσότερες από 1 Untagged πόρτες γι αυτό και το συγκεκριμένο έχανε την σύνδεση με το internet.(Αυτό κατάλαβα εγώ τουλάχιστον)

Οπότε έκανα το εξής.

      VLAN ID 1| Name : Default        | Ports 1-8   | Untagged : 1-8 | Tagged : 0 |  PVID 1

      VLAN ID 2| Name : Home          | Ports 1-2    | Untagged : 1-2 | Tagged : 0 |  PVID 2

      VLAN ID 3| Name:  2nd House  | Ports 1,3    | Untagged : 1-3 | Tagged : 0 |  PVID 3

      VLAN ID 4| Name : 3rd House   | Ports 1,4   |  Untagged :  1-4 | Tagged : 0 |  PVID 4

Επειδή όμως στο VLAN ID 2 ήθελα να βλέπει η μία συσκευή την άλλη σύνδεσα στην πόρτα 2 του switch ένα unmanaged switch και από εκεί έφευγε διαφορετικό UTP προς κάθε δωμάτιο του σπιτιού. Λειτουργεί μια χαρά. (Βλέπε *** στο τέλος του post)

Με αυτόν τον τρόπο θα μου πείτε ότι θα μπορούσα να χρησιμοποιήσω και το MTU Vlan( Μια uplink πόρτα  συν άλλη μία για το κάθε vlan  . Επειδή όμως στην συνέχεια θέλω να βάλω κι άλλο smart switch 802.1q είναι μονόδρομος στην περίπτωση μου.

Όταν θα βάλω και το άλλο switch λέω να το ρυθμίσω έτσι. Το βρίσκετε σωστό;

SWITCH A

      VLAN ID 1| Name : Default        | Ports 1-8   | Untagged : 1-8   | Tagged : 0 PVID  1

      VLAN ID 2| Name : Home          | Ports 1-2    | Untagged : 1,2  |Tagged : 0 PVID 2

      VLAN ID 3| Name:  2nd House  | Ports 1,3    | Untagged : 1,3  | Tagged : 0 PVID 3

      VLAN ID 4| Name : 3rd House   | Ports 1,4   |  Untagged : 1,4  | Tagged : 0 PVID 4

      VLAN ID 5| Name : ToSec.Sw.   | Ports 1,5   |  Untagged : 1     | Tagged : 5 PVID 1

 

SWITCH B 

      VLAN ID 1| Name : Default             | Ports 1-8   | Untagged : 1-4,6-8         | Tagged : 5  PVID  1

      VLAN ID 6| Name : IP Cameras     | Ports 1,5    | Untagged : 1                  | Tagged : 5 PVID 1

      VLAN ID 7| Name:  AP PIL.             | Ports 2,5    | Untagged : 2                  | Tagged : 5 PVID 2  

Μπορεί και να κάνω λάθος για το δεύτερο switch. https://www.tp-link.com/us/support/faq/788/

Η διαφορά είναι ότι δεν θέλω να είναι καν στο ίδιο group ενας client του πρώτου switch με έναν client από το δεύτερο.

Κάθε πόρτα και από τα δύο switch θέλω να  επικοινωνεί με την uplink μόνο.

 

***Στην πόρτα 2 του sg108e αν ήθελα να συνδέσω απευθείας ένα access point (Archer C7 σε ap mode) δεν έπαιζε. Μόνο μετά το Unmanaged switch (Aυτό που έβαλα στην πόρτα 2). Απλώς το αναφέρω, δεν ξέρω γιατί το κάνει αλλά δεν με απασχολεί γιατί δουλεύει όπως το έχω βάλει τώρα.

Επεξ/σία 22 Ιουλίου 2019 από BigHomie

[Επισκέπτης]

Στο τρέχων setup σου καταλαβαίνω πως έχεις δλδ (ας πούμε το απλό σενάριο):

Όλες οι πόρτες είναι untagged στο switch και access σε κάποιο vlan:

Το vlan 1 είναι σε όλες τις πόρτες (modem router, laptop, desktop και οτιδήποτε άλλο)

Η πόρτα που συνδέεται το modem router είναι στο vlan 1 (port 1), όμως η port 1 ΔΕΝ είναι DOT1Q (δεν μεταφέρει 802.1Q tags για vlans και επιτρέπει τα vlan 2,3)

Το vlan 2 σε 2 πόρτες, μια πρός το modem router (port 1) και μια άλλη πόρτα (πχ ένα laptop σε port 2)

Το vlan 3 σε 2 πόρτες, μια πόρτα πρός το modem router και μια άλλη πόρτα (πχ ένα desktop σε port 3)

Χρησιμοποιείς ένα subnet το οποίο τερματίζει σε L3 στο modem router (έστω 192.168.1.0/24) και όλοι "πελάτες"  είτε στο vlan 2 (laptop) είτε στο vlan 3 (desktop) έχουν IPv4 απο το ίδιο subnet (έστω 192.168.1.10 για το laptop και 192.168.1.20 για το desktop). Οι clients μπορούν να μιλήσουν μόνο με το gateway (modem/router 192.168.1.1) και όχι μεταξύ τους. 

Αν το παραπάνω δουλεύει,  τότε δείχνει σαν σενάριο Private VLAN γιατί κανονικά εφόσον έχεις διαφορετικά vlans έχεις και διαφορετικά broadcast domains (δεν μιλάμε φυσικά να κάνεις bridging μεταξύ τους τα Vlans γιατι εκτός του ότι μπορεί να γίνει λίγο μπάχαλο....έ ΔΕΝ συνίστατε κιόλας....) και θες διαφορετικά L3 subnets για τα  εκάστοτε Vlans, τα οποία αν δεν τα τερματίζει το switch αλλά το modem/router, τότε θα ήθελες και trunk port (δλδ για να μεταφέρεις τα tagged per vlan frames με 802.1q πρός το modem router). Επίσης αν το παραπάνω δουλεύει, προφανώς δεν μιλάμε και για protected ports (δεν θες διαφορετικά vlans για να κάνεις κάτι τέτοιο).

Τώρα μόνο με δοκιμές μπορείς να βγάλεις άκρη....τι εννοεί ο ποιητής (tplink....) και φυσικά να βάλεις και κανένα wireshark για να δείς αν όντως clients σε διαφορετικά vlans δεν λαμβάνουν κίνηση τύπου (BUM=broadcast, unknown unicast, multicast). Σε άλλους vendors όπως σου είπα το Private Vlan μπορεί να γίνει span μέσω 802.1Q trunk port (πρός κάποιο άλλο switch), όμως το protected port όχι (είναι local significant στο switch).

 

[BigHomie]

Πολύ σωστά κατάλαβες το πως το έχω συνδέσει και ευτυχώς λειτουργεί κανονικά όπως θα ήθελα.

Θα σου ανεβάσω το ίδιο σχεδιάγραμμα της TP LINK τροποποιημένο σύμφωνα με τις ανάγκες μου και να μου πεις αν γνωρίζεις ποιο μοτίβο να ακολουθήσω στο δεύτερο switch ώστε και εκεί το κάθε vlan να έχει πρόσβαση στο ίντερνετ. Ουσιαστικά, όπως δουλεύει μόνο του το πρώτο switch, έτσι θέλω να κάνω και το δεύτερο. (Νομίζω πως τελικά δεν χρειάζεται να γίνουν tag οι πόρτες μεταξύ των δυο switch.Εφόσον θέλω αυτόνομα vlans σε κάθε πόρτα ξεχωριστά)

 

To switch A ως τώρα είναι έτσι. 

 

[Επισκέπτης]

Σε πρώτη φάση θα σου έλεγα να προχωρήσεις να καταλάβεις αν τώρα με διαφορετικά vlans (σε αυτό το σενάριο τύπου Private Vlans) όταν κάποιος host στο vlan 2 πχ δεν λαμβάνει BUM κίνηση (ή και άλλου τύπου κίνηση....) απο διαφορετικό Vlan.

Σίγουρα θές trunk (interface που να περνάει τα 802.1Q tags μεταξύ τoυ switch A port 3 και switch port 1 και επίσης....trunk σημαίνει και spanning-tree...), ενώ αν θές και διαφορετικά vlans στο switch A απ' ότι το switch B τότε μπερδεύει το πράγμα. Eξαρτάται τι υποστηρίζει το TPLINK, γιατι βλέποντας την τοπολογία υποθέτω πως πας και ακόμα ένα βήμα παραπέρα με διαφορετικά Vlans ανά switch και βάζοντας αντί για τελικούς hosts στα 2  "'έξυπνα..?" switches, 4 επιπλέον unmanged switches....(υποθέτω άλλο vlan στο port 2 του switch A για το unmanaged switch που πάνω του μπορεί να έχει πχ 3-4 end host devices που υποθέτω θες να επικοινωνούν μεταξύ τους και το internet αλλά όχι με το vlan 3 πχ  στο port 3 του switch B που θες να συνδέσεις ένα άλλο unmanaged switch και μπορεί να έχει κάποιους άλλους end hosts που επίσης θες να επικοινούν τοπικά και να έχουν internet, αλλά καμιά επικοινωνία με άλλους). Αρα βάζεις και τα unmanaged switches στο παιχνίδι να υποστηρίξουν αυτό το tplink feature (να επιτρέπουν 2 vlan σε μια πόρτα που θα έχεις συνδέσει end hosts).

Aν δείς και στο link  που έχεις παραθέσει:

https://www.tp-link.com/us/support/faq/788/

το παράδειγμα B καταρχάς έχει κοινά VLAN και στα 2 switches και χρησιμοποιεί στην μεταξύ τους διασύνδεση TAGGING για να μπορεί και ο end host του switch A στο Vlan 2 να "μιλήσει" με τον end host που βρίσκεται στο switch B στο ίδιο Vlan.

Επεξ/σία 23 Ιουλίου 2019 από Επισκέπτης

[BigHomie]

Καλησπέρα!

Κατέβασα το wireshark, το έτρεξα και εμφανιζόντουσαν κάτι κατεβατά εκεί πέρα αλλά όπως καταλαβαίνεις δεν έχω γνώσεις δικτύων παρά μόνο κάτι πολύ βασικά. Δεν είδα πάντως κάποια IP από host άλλου vlan αν έχει κάποια σημασία.

Το μόνο που είχα δοκιμάσει είναι η εφαρμογή ping tools, όπου έκανα ένα scan network και μου έδειχνε μόνο τις συσκευές του ίδιου vlan. Καθώς και ότι με ένα σκέτο ping έβλεπε μόνο τις συσκευές που είναι στο ίδιο vlan και το web gui της gateway. Θα κάνω κάποιες δοκιμές να δημιουργήσω διαφορετικά vlan στο δεύτερο switch και αν καταφέρουν να περάσουν από το πρώτο και να καταλήξουν στην πόρτα προς την gateway καλώς, διαφορετικά θα κρατήσω το δικό μου απομονωμένο (όπως δείχνει να είναι τώρα) και όλα τα υπόλοιπα χωρίς vlan.

Επεξ/σία 23 Ιουλίου 2019 από BigHomie

[M@dB0x]

Εγω το vlan το εχω σταματησει εδω και καιρο να το στηνω και χρησιμοποιω το αξιοπιστο setup των διαφορετικων subnets σε διαφορετικα ethers, με bridge to bridge isolation ή drop filter rules.

Ευκολο γρηγορο αξιοπιστο και τα διαφορετικα subs σου δινουν τεραστιες δυνατοτητες δικτυωσης στο μελλον.

 

Αυτο δεν ειναι απαντηση στο TS αλλα για πιο επαγγελματικους σκοπους.  Γενικως παντως μη χρησιμοποιειτε σαπιλες τυπου technicolor για τετοιου ειδους παραμετροποιησεις.

Επεξ/σία 24 Ιουλίου 2019 από M@dB0x

[Επισκέπτης]

@M@dB0x

Άσχετο σχόλιο.

@BigHomie

 Κανονικά (ακόμα και χωρίς τα unmannaged switches στο παιχνίδι) χωρίς κάποιο tagging μεταξύ των switches (dot1q) ή κοινών ρυθμίσεων για vlan (τα οποία  να μην υπάρχουν και τοπικά δλδ) δεν ακούγεται σωστό σε σχέση με αυτό που θές να καταλήξεις να κάνεις (1 subnet με κοινό default gateway στο modem router και πολλά vlan στο ίδιο subnet σε 2 ή και παραπάνω switches). Υποθέτω ότι θα γίνετε bridging (δες το με wireshark πάλι) ειδικά με την τοπολογία που θες :  

1. SwitchB <---> SwitchA <---> modem router

Αν σου δουλεύει όπως λες το σενάριο με διαφορετικά vlan πίσω απο το switchA:

SwitchA <---> modem router

θα σου έλεγα να δοκιμάσεις με τα άλλα vlan στο switch Β με αντίστοιχη τοπολογία (δλδ το πιό απλό σενάριο) και φυσικά έλεγχο με wireshark:

SwitchA <---> modem router

SwitchB <---> modem router

Διαφορετικά με τοπολόγια τύπου 1 θα έβαζα tagging (trunk) μεταξύ switch B και Switch A αλλά στο switch A επιπλέον μιας και είναι το μόνο που έχει την φυσική σύνδεση με το modem router θα έφτιαχνα και τα vlan που υπάρχουν μόνο στο Switch B και θα πρέπει να μεταφέρονται μέσω της σύνδεσης (απο/προς) Switch B <--> Switch A (απο/πρός) το modem router, μέσω της σύνδεσης  Switch A <---> modem router (για να δηλωθούν τα vlan στις σχετικές πόρτες). 

 

Επεξ/σία 24 Ιουλίου 2019 από Επισκέπτης

[M@dB0x]

Καθολου ασχετο αν σκεφτεις οτι καποιος του το ειπε να το κανει ετσι και απλα επικροτω την ιδεα. Απο εξυπνακηδες ομως........... εχουμε χορτασει μεγαλε.

[BigHomie]

Δεν μου είπε να το κάνω έτσι κάποιος απλά έχω παντρευτεί του παρόχου το modem/router Technicolor DGA 4130 το οποίο είναι κλειδωμένο όσο δεν πάει.

Ούτε ξεχωριστά subnet μπορώ να δημιουργήσω ούτε vlan υποστηρίζει καθώς και πολλά ακόμα.

Είχα βάλει για ένα διάστημα ένα δικό μου router μετά του παρόχου, αλλά δεν κατάφερα με τίποτα να κάνω το open vpn server να δουλέψει πίσω απο double nat.

Οπότε ο μόνος τρόπος που σκέφτηκα (μιας και είχα το συγκεκριμένο switch της tp-link) είναι να δοκίμαζα τα vlan.

Επεξ/σία 24 Ιουλίου 2019 από BigHomie

[M@dB0x]

Το πρωτο που σου απαντησε ο mad. Nα τα ριξεις σε διαφορετικες ether. Διαβασε το πρωτη απαντηση που γραφτηκε.

[Επισκέπτης]

38 λεπτά πριν, M@dB0x είπε

Καθολου ασχετο αν σκεφτεις οτι καποιος του το ειπε να το κανει ετσι και απλα επικροτω την ιδεα. Απο εξυπνακηδες ομως........... εχουμε χορτασει μεγαλε.

Σε σχέση με αυτό που θέλει να κάνει (1 subnet με κοινό gateway και διαφορετικά vlan) , δεν έχει καμία σχέση το σχόλιο σου. Για τα υπόλοιπα που λες δεν θα πώ κάτι, ο καθένας ότι καταλαβαίνει και ότι νομίζει μπορεί να κάνει.

[M@dB0x]

Συμφωνω απολυτα μαζι σου διοτι αμα καταλαβαινες δε θα απαντουσες οπως απαντησες.

[Επισκέπτης]

@M@dB0x

 Δεν το πήγα και ούτε θα το πάω σε προσωπικό επίπεδο. Αμφιβάλω τεχνικά τι καταλαβαίνεις για αυτά που έχουν ειπωθεί παραπάνω. 

 

[Επισκέπτης]

@BigHomie

 Δοκίμασες τελικά το multi-tenanti unit vlan σε απλό σενάριο (ίδιο subnet/κοινό gateway για όλα τα vlans του switchA) ? Η ορολογία χρησιμοποιείτε και απο άλλους vendors με την ίδια περιορισμένη πληροφόριση γύρω απ' αυτό, που αναφέρεται σε segmentation εντός ενός κοινού LAN (ουσιαστικά ένα είδος όπως είχα πει τύπου Private Vlans/protected ports).

[Vlan2,3,4,5,x] <--->SwitchA <---uplink---> modem router

Άρα δείχνει να είναι το πιό "λογικό" και πιθανόν λειτουργικό σενάριο (θα δοκίμαζα χωρίς τα unmanaged switches στο "παιχνίδι") και με ξεχωριστές συνδέσεις όπως είπα και πρίν (χωρίς tagged ports μεταξύ των switches και ξεχωριστά vlan ανά switch) μια επόμενη δοκιμή. 

 

[Vlan2,3,x] <--->SwitchA <---uplink---> modem router

[Vlan4,5,x] <--->SwitchB <---uplink---> modem router

Πάντως απ' ότι καταλαβαίνω το multi-tenant unit vlan σενάριο δεν επιτρέπει καμία επικοινωνία μεταξύ των υπόλοιπων πορτών (κάτι σαν Private Vlan/isolated type vlan μόνο μιας και δεν υποστηρίζει Private Vlan/community type όπου θα μπορούσαν οι clients του ίδιου community type vlan να επικοινωνούν και μεταξύ τους επιπλέον).  

Επεξ/σία 27 Ιουλίου 2019 από Επισκέπτης

[ovidius80]

Το Technicolor νομίζω υποστηρίζει PPPOE passthrough σε κάποια από τις θύρες που έχει. Οπότε κάνοντας ΡΡΡΟΕ passthrough μπορείς να έχει την συνδεση του internet μέσα από μια θύρα σε ένα άλλο router απόλυτα παραμετροποιήσιμο και για τα Ethernet subnets και για τα VLAN's και το  Technicolor μένει απείραχτο καθώς λειτουργεί κανονικά το VOIP και έχει άλλο μηχάνημα να κάνει το routing. Με το PPPOE Passthrough η κλήση PPPOE θα γίνεται από το δεύτερο ρουτερ σαν να ήταν απευθείας συνδεδεμένο στην γραμμή. Οπότε θα μπορέσεις να δουλέψεις άνετα και το OpenVPN

 

Επεξ/σία 29 Ιουλίου 2019 από ovidius80